松屋フーズホールディングスは10月30日、牛丼チェーン「松屋」の公式アプリの管理システムが第三者から不正アクセスを受け、会員の情報などが漏えいしたと発表した。弁当予約の「松弁ネット」、モバイルオーダー、宅配の「松弁デリバリー」を使った人の分が2,377,127件あり、お届け先の住所・氏名・電話番号が含まれる。
発表の言葉は「おそれ」ではなく、漏えいが判明した、だ。店で受け取る弁当をアプリで予約した人も、家まで届けてもらった人も、名前と住所と電話番号が外に出た側にいるかもしれない。
使い方によって、出た項目が違う
不正アクセスが判明したのは10月28日。漏えいした情報は、利用の仕方によって2つに分かれる。
- 松弁ネット・モバイルオーダー・松弁デリバリーを使った人: 会員ID、お届け先住所、氏名、電話番号、松屋ポイントの情報。2,377,127件
- 松屋公式アプリに会員登録した人: 会員ID、都道府県、氏名、電話番号、生年月日、メールアドレス、暗号化されたパスワード、松屋ポイントの情報。2,000件 (最大3,000件になる可能性がある)
クレジットカード情報は、もともと同社が持っていない。原因と、不正アクセスができてしまった経緯は調べている最中だという。
件数が大きく、住所まで含まれるのは前者だ。後者は数こそ少ないが、メールアドレスと、暗号化された状態のパスワードが含まれる。
住所と電話番号を知った相手から、何が来るか
同社は、漏れた情報がなりすましに使われるおそれがあるとして、不審なメール・SMS・電話に気をつけるよう呼びかけている。あわせて、同社からメールや電話でパスワードやクレジットカード情報を尋ねることはない、と明記した。
住所と電話番号を知っている相手なら、「ポイントの払い戻し」「停止期間の補償の手続き」をうたう SMS や電話を、それらしく仕立てられる。アプリ会員への補償は実際に予定されているので、偽の案内はなおさら紛れやすい。補償の知らせが届いたら、その中のリンクや電話番号は使わず、同社のウェブサイトの告知で中身を確かめ直すのが確実だ。
できないこともはっきりしている。漏れた住所は変えられないし、電話番号を変えるのは手間が大きすぎる。出てしまった情報を取り戻す手段はなく、利用者の手元に残るのは「連絡を受けたら、その場で答えない」という備えだけだ。アプリ会員で、松屋と同じメールアドレスとパスワードの組み合わせをほかのサービスでも使っている人は、そちらのパスワードを変えておくと、手の届く守りが一つ増える。
補償と個別の連絡は、これから
同社は個人情報保護委員会への報告などを進め、情報が漏えいした人には順次連絡するとしている。アプリ会員には利用停止期間中の補償を予定しており、詳しい内容は別途知らせる。システムは関係各社の協力を得て、早期の復旧に取り組んでいる段階だ。
問い合わせは専用の「個人情報お問い合わせ窓口」で受け付けている。電話は0422-38-1121で、受付は平日10時から16時 (土日は休み)。音声案内のあとに「1」を押す。メールでも受け付けている。
次に確かめたいのは、松屋フーズホールディングスが「別途告知」するとした補償の中身と、原因の調査結果だ。同社のウェブサイトのお知らせに載った内容と照らし合わせれば、補償の案内を名乗る連絡の真偽も確かめられる。
ことば
- 適時開示 — 上場企業が、株価に影響しうる出来事を証券取引所の仕組みを通じてすぐに公表すること。今回の発表もこの形で出ていて、誰でも同じ文書を読める。
- モバイルオーダー — 店に行く前にスマートフォンで注文しておき、店では受け取るだけにする仕組み。注文のために名前や電話番号が記録されるので、アプリの会員情報とつながっている。
補償の案内を名乗る SMS が届いたら、あなたはどこで本物かを確かめるだろうか？
